Software Seguro

Sumário

Introdução.......................................................................................................................................................4

Princípios Gerais de Segurança em Aplicações e Riscos................................................................................5

Checklist de Prática de Codificação Segura ...................................................................................................7

Validação de Entrada de Dados: ...............................................................................................................7

Codificação da Saída de Dados:................................................................................................................8

Autenticação e Gerenciamento de Senhas:................................................................................................8

Gerenciamento de Sessão:.......................................................................................................................10

Controle de Acessos:................................................................................................................................11

Práticas de Criptografia:..........................................................................................................................12

Tratamento de Erros e Log:.....................................................................................................................12

Proteção de Dados:..................................................................................................................................13

Segurança nas comunicações:..................................................................................................................13

Configuração do Sistema:........................................................................................................................14

Segurança em Base de Dados:.................................................................................................................15

Gerenciamento de Arquivos:...................................................................................................................15

Gerenciamento de Memória:...................................................................................................................16

Práticas Gerais de Codificação:...............................................................................................................16

Apêndice A (Recursos externos e referências)..............................................................................................18

Apêndice B (Glossário)................................................................................................................................19

Versão 1.0 3Dezembro 2010

Introdução

Este documento não se baseia apenas em questões tecnológicas e tem o propósito de definir um

conjunto de boas práticas de segurança de codificação de aplicações. As recomendações serão apresentadas

em um formato de checklist, que podem ser integradas ao ciclo de desenvolvimento de aplicações. A

adoção destas práticas provavelmente vai reduzir as vulnerabilidades mais comuns em aplicações web.

Geralmente é mais barato construir software seguro do que corrigir problemas de segurança após a

entrega do software como um produto final ou pacote completo de software, sem falar nos custos que

podem estar associados a uma falha de segurança.

Proteger os recursos críticos de aplicações tem se tornado cada vez mais importante, pois o foco

dos atacantes mudou para a camada de aplicação. Um estudo da SANS em 2009[1] descobriu que os

ataques contra aplicações web constituem mais de 60% do total das tentativas de ataque observados na

Internet.

Ao utilizar este guia, é recomendável que as equipes de desenvolvimento avaliem a maturidade do

ciclo de vida de desenvolvimento de software e o nível de conhecimento da sua equipe de desenvolvimento.

Como este guia não entra em detalhes de como implementar cada prática de codificação, os

desenvolvedores precisam possuir um conhecimento prévio ou ter disponível os recursos suficientes que

forneçam o direcionamento necessário. Este guia apresenta práticas de codificação que podem ser

traduzidas em requisitos de codificação sem a necessidade do desenvolvedor possuir uma compreensão

aprofundada das vulnerabilidades e exploits de segurança. No entanto, outros membros da equipe de

desenvolvimento devem possuir responsabilidades, treinamentos adequados, ferramentas e recursos para

validar se o projeto e a implementação atendem os requisitos de segurança.

Um glossário contendo termos importantes usados neste documento, incluindo títulos das seções e

palavras mostradas em itálico, é fornecido no apêndice B.

Não faz parte do escopo deste guia fornecer orientações para implementar um framework de

desenvolvimento seguro de software, no entanto, as seguintes práticas gerais e referências são

recomendadas:

● Definir claramente os papéis e responsabilidades

● Fornecer às equipes de desenvolvimento pessoal com formação adequada em segurança no

desenvolvimento de aplicações

●